Les analystes en cybersécurité de Google ont repéré une faille zéro-day exploitée par le groupe de pirates nord-coréens APT37. Ils auraient espionné et volé des informations à des cibles originaires de Corée du Sud.

Selon le Google Threat Analysis Group (TAG), la division de Google chargée de trouver les failles de sécurité de divers systèmes d’information, les pirates de APT37 auraient mis à profit une faille zéro-day d’Internet Explorer pour insérer des malwares dans des documents Office et cibler des victimes sud-coréennes. Le groupe, aussi connu sous le nom de Reaper ou ScarCruft, est connu pour être le bras armé de Pyongyang dans la cyberguerre opposant le gouvernement nord-coréen à son voisin sud-coréen.

À lire — Ce malware créé par des pirates nord-coréens scanne votre PC pour voler vos données

Google aurait découvert qu’APT37 envoie des documents infectés scripts malicieux à ses cibles. À en croire le blog de la compagnie, ces hackers sont connus pour s’attaquer aux transfuges nord-coréens, aux décideurs politiques, aux journalistes et autres activistes sud-coréens. Les experts en cybersécurité de Google ont été informés par divers internautes qu’un document Microsoft Office était en circulation intensive au pays du Matin calme. Celui-ci fait référence à l’incident d’Itaewon, qui a entraîné la mort de plusieurs centaines de personnes le 29 octobre dernier à Séoul.

Une faille d'Internet Explorer permettait de télécharger des malwares même si vous n'utilisiez pas le navigateur de Microsoft

Cette tragédie éveille immanquablement la curiosité des Sud-Coréens, qui ne peuvent s’empêcher d’ouvrir le fichier lorsqu’ils le reçoivent dans leur boîte email. Dès le 31 octobre 2022, les internautes reçoivent des fichiers au format RTF. Une fois sur l’ordinateur de leur cible, ces derniers téléchargent leur contenu au format HTML sur des serveurs distants, et s’ouvrent automatiquement sur Internet Explorer, sans intervention possible de l’internaute. Les hackers exploitent ensuite une faille du moteur JavaScript d’IE qui permet d’exécuter un code malicieux à partir du site sur lequel les pirates ont orienté leurs cibles.

Fort heureusement, cette vulnérabilité, CVE-2022-41128, a été dûment corrigée près de dix jours après qu’elle a été découverte. Elle se trouvait, avec cinq autres correctifs de sécurité, dans les mises à jour du Patch Tuesday de novembre 2022.

source : Bleeping Computer